El último recopilatorio ThreatsDay, con base en reportes públicos y análisis de seguridad, destaca una variedad de amenazas que afectan a infraestructuras web, entornos corporativos y dispositivos de usuario. Entre las novedades hay un kit para robar carteras de criptomonedas que utiliza registros DNS, explotación activa de una vulnerabilidad de autenticación en soluciones VPN empresariales y nuevas familias de troyanos de acceso remoto (RAT) con funciones avanzadas de espionaje y acoso psicológico.
Robo de wallets usando DNS TXT: cómo funciona y por qué preocupa
Investigadores han analizado un ladrón de criptomonedas, autodenominado Noir, que usa registros DNS TXT para localizar su infraestructura de backend. El malware consulta esos registros mediante servicios públicos de DNS over HTTPS (DoH) y obtiene la dirección de un pool hospedado en plataformas de contenido. Tras un primer acceso que sólo requiere permisos de lectura, adapta su comportamiento al usuario y luego solicita permisos de gasto que, según los analistas, pueden parecer menos sospechosos que una transferencia directa.
Qué cambia: el uso de DNS TXT y DoH para orquestar el robo dificulta la detección basada en listados estáticos de dominios o IP, y permite al atacante cambiar rápidamente la infraestructura sin modificar el binario entregado.
Qué deben hacer los administradores y usuarios: revisar permisos solicitados por dApps y extensiones, evitar conceder permisos de gasto automatizados sin auditar, monitorizar llamadas DNS inusuales desde infraestructuras críticas y aplicar controles de egress para bloquear consultas DoH no aprobadas en entornos corporativos.
Explotación de autenticación en GlobalProtect y riesgos de accesos VPN
Grupos de ransomware están explotando una falla de autenticación en PAN-OS para GlobalProtect y Prisma Access, lo que permite eludir controles y conseguir acceso persistente desde la propia VPN corporativa. Los atacantes que entran por esa vía pueden pasar desapercibidos al mezclarse con tráfico legítimo de teletrabajo.
Qué cambia: una brecha en el mecanismo de autenticación de la VPN reduce la efectividad de las defensas perimetrales y facilita movimientos laterales dentro de la red.
Qué deben hacer los equipos de TI: actualizar los dispositivos afectados, invalidar sesiones activas de GlobalProtect tras aplicar parches, deshabilitar cookies o mecanismos de anulación de autenticación si no son necesarios, y auditar conexiones inesperadas (por ejemplo, sesiones originadas desde hosts de prueba o nombres tipo «kali»). Patching puede no eliminar accesos ya establecidos, por lo que hay que investigar posibles compromisos previos.
Nuevas familias de RAT y cadenas de infección complejas
Se han documentado varias familias de RAT con técnicas modernas: un RAT escrito en Rust (CikaBika Bot) que usa cargadores en Nim, bypasses de UAC y comunicación por Discord y ngrok; otro llamado BotHelper que se distribuye mediante una cadena multi-etapa basada en .NET y persiste mediante tareas programadas; y KGB RAT, que incluye funciones de robo de credenciales y características de acoso psicológico como «screamers» y forzado de pantallas azules.
Qué cambia: la convergencia de funciones (control remoto, exfiltración, vigilancia en pantalla y herramientas de intimidación) reduce la necesidad de múltiples herramientas y eleva el riesgo para endpoints y servidores que no estén segmentados ni monitorizados.
Qué deben hacer los administradores: reforzar la detección en endpoints (firmas y telemetría de comportamiento), bloquear vectores habituales como LNKs y macros en documentos, deshabilitar ejecución automática de archivos desconocidos y aplicar políticas de principio de privilegio mínimo en estaciones y servidores.
Consejos prácticos y medidas generales
- Auditar permisos de aplicaciones y extensiones, especialmente en entornos que gestionan billeteras o claves.
- Seguir un proceso de parcheo rápido para componentes críticos (VPN, firewalls y software de acceso remoto) y forzar caducidad de sesiones tras actualizar.
- Implementar controles de egress y filtrar DoH/DoT no autorizados en redes corporativas.
- Mejorar la telemetría en endpoints y correlacionar inicios de sesión VPN con actividad anómala posterior.
El boletín subraya que las amenazas evolucionan con rapidez: pequeñas permisiones o características de conveniencia pueden terminar facilitando robos y accesos persistentes. Administradores y dueños de sitios deben priorizar la revisión de permisos, el parcheo y la monitorización continua para reducir el riesgo.
Lee también:
- La defensa contextual: cómo anticipar y frenar ciberataques antes de que escalen
- PwnEscape: falla crítica del kernel Linux permite a máquinas virtuales leer memoria del host
Fuente: The Hacker News
